Le 25 septembre 2026, le site spécialisé FrenchBreaches a signalé une fuite de données revendiquée visant Pharmaland, avec plus de 6 800 personnes liées à des pharmacies françaises présentées comme concernées. Un pirate utilisant le pseudonyme Alduin y affirme avoir publié, sur un forum cybercriminel, une base présentée comme issue de la plateforme Pharmaland, solution informatique destinée aux pharmacies pour gérer leurs ventes, leurs stocks, leurs achats, leur facturation et le suivi de leur activité. Selon la publication, la base contiendrait les informations de plus de 6 800 personnes liées aux utilisateurs et aux pharmacies de la plateforme, dans un fichier d’environ 331 Ko : noms, adresses électroniques, villes des pharmacies et dates de création de comptes, ainsi que, pour les enregistrements concernant directement les officines, le nom de la pharmacie et des numéros de téléphone. La page a été consultée le 27 septembre 2026 et aucun article du cabinet ne traite ce cas.
La réponse tient en cinq gestes que cet article détaille. D’abord, vérifier sans paniquer : une revendication publiée par un attaquant n’est pas la preuve d’une intrusion, et seule la confrontation avec ses propres contrats, comptes utilisateurs et échanges permet à chaque officine et à chaque partenaire de savoir s’il est réellement concerné. Ensuite, geler les communications sensibles : toute sollicitation inhabituelle reçue dans les jours qui suivent, demande de règlement vers de nouvelles coordonnées ou message pressant se prévalant de la fuite, doit être vérifiée par un canal indépendant avant toute exécution. Puis notifier et tracer : le responsable du traitement doit documenter la violation en interne et la notifier à la CNIL lorsqu’elle présente un risque pour les droits et libertés des personnes, avec une notification initiale dans un délai de 72 heures si possible, tandis que le sous-traitant doit prévenir le responsable dans les meilleurs délais. Ensuite, conserver chaque preuve : contrats, bons de commande, factures de l’éditeur, journaux de connexion, relevés d’accès aux comptes et échanges avec le prestataire. Enfin, se retourner vers l’amont : mettre le cocontractant défaillant en demeure, chiffrer le préjudice poste par poste et préparer le recours contractuel, en attaquant le bon débiteur et avec le bon fondement.
Deux réserves s’imposent avant d’aller plus loin. La première tient à la nature du signal : il s’agit d’une revendication relayée par un site de veille, pas d’un constat d’huissier ni d’une décision de justice. Les volumes, le périmètre exact et l’origine des données restent affirmés par leur diffuseur ; chaque entreprise doit vérifier sa propre exposition au lieu de présumer qu’elle figure dans la fuite ou, à l’inverse, qu’elle y échappe. La seconde réserve est juridique : les délais, les montants et les qualifications exposés ici découlent des textes et des décisions cités, chacun daté et sourcé ; ils ne prédisent l’issue d’aucun litige particulier, qui dépendra toujours du contrat signé, des pièces conservées et du rôle exact de chaque acteur, responsable du traitement ou sous-traitant, client ou fournisseur.
I. La carte des conséquences : de l’éditeur jusqu’aux officines et à leurs partenaires
A. L’étage du maillon central : ce que la revendication dit et ce qu’elle ne prouve pas
Le premier étage du domino est l’éditeur lui-même. La publication décrit un scénario désormais classique des fuites de 2026 : l’attaquant ne s’en prend pas séparément à chaque officine, il frappe le point de concentration où dorment ensemble les comptes des utilisateurs et les données d’identification des pharmacies clientes. Pour un logiciel qui gère les ventes, les stocks, les achats et la facturation des officines, ce point de concentration a une valeur particulière : il révèle qui travaille avec qui, avec quelles adresses électroniques professionnelles, dans quelles villes, depuis quelles dates, et avec quels numéros de téléphone directs. Quand un tel gisement est revendiqué comme compromis, l’effet de chaîne est mécanique : des pharmacies qui n’ont jamais été attaquées directement peuvent voir leurs coordonnées professionnelles, leurs habitudes de commande et leurs interlocuteurs exposés parce qu’ils figuraient dans le système du prestataire.
Mais une revendication n’est pas une intrusion établie. Les pirates ont intérêt à exagérer les volumes et la fraîcheur des bases pour faire pression, et les confirmations ou démentis des entreprises visées mettent souvent plusieurs jours à venir. Pour l’officine comme pour le fournisseur, la bonne attitude probatoire se situe entre deux excès : ni la panique qui fait tout réinitialiser sans tracer, ni l’attentisme qui laisse passer les délais de notification et de contestation. Concrètement, le titulaire fait d’abord l’inventaire interne : l’officine utilise-t-elle Pharmaland, depuis quand, avec combien de comptes utilisateurs et quelles adresses électroniques, quelles données ont été confiées à la plateforme, quels échanges ont eu lieu avec l’éditeur ces derniers mois ? Cet inventaire, daté et conservé, est la pièce maîtresse de tout ce qui suit : il permet de répondre à une notification, de contester une sollicitation frauduleuse et de chiffrer un préjudice. Le droit commun de la preuve l’exige d’ailleurs : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation » (article 1353 du code civil). L’officine qui réclamera l’exécution des engagements de sécurité de son éditeur devra donc prouver l’obligation et son inexécution, avec des pièces extérieures et datées. L’officine vérifie aussi ses propres journaux : connexions inhabituelles aux comptes, messages reçus se prévalant de la fuite, tentatives de modification des coordonnées de règlement. Chaque anomalie est capturée avec sa date, son expéditeur et son contenu exact, car c’est de cette matière première que dépendra toute la suite.
Le contrat signé avec l’éditeur mérite une relecture immédiate, avant tout courrier. L’officine y cherche quatre clauses : l’objet exact des prestations et le périmètre des données confiées, les engagements de sécurité et de confidentialité souscrits par le prestataire, la clause de résiliation et ses conditions de mise en œuvre, et la clause limitative ou exclusive de responsabilité avec son plafond. Cette relecture commande toute la stratégie : selon que le prestataire s’est engagé sur une obligation de sécurité précise ou sur de simples moyens, selon que la résiliation suppose ou non une mise en demeure préalable, les gestes à accomplir ne sont pas les mêmes. L’officine note également qui, dans ses propres équipes, a le pouvoir d’engager ces démarches : le titulaire, le pharmacien adjoint délégué, le prestataire informatique de l’officine. En cas de doute sur la portée d’une clause, elle écrit au prestataire pour demander des éclaircissements plutôt que d’interpréter seule un texte dont dépendra un contentieux éventuel.
B. Les deux étages professionnels : officines exposées, grossistes et partenaires en seconde ligne
Le deuxième étage est celui des officines elles-mêmes, qui cumulent trois casquettes inconfortables. Elles sont d’abord clientes de l’éditeur, liées par un contrat de prestations informatiques dont elles peuvent exiger l’exécution loyale. Elles sont ensuite, au sens du droit des données personnelles, responsables du traitement des données de leurs patients, de leurs équipes et de leurs contacts professionnels : c’est sur elles que pèsent les obligations de sécurité, de notification et d’information, même quand la faille se situe chez leur prestataire. Elles sont enfin dépositaires d’un secret protégé par la loi : « Toute personne prise en charge par un professionnel de santé […] a droit au respect de sa vie privée et du secret des informations la concernant. Excepté dans les cas de dérogation expressément prévus par la loi, ce secret couvre l’ensemble des informations concernant la personne venues à la connaissance du professionnel » (article L1110-4 du code de la santé publique). Pour une officine, une fuite chez son éditeur n’est donc jamais un simple incident technique : c’est un événement qui engage sa propre conformité et sa propre responsabilité envers ses patients.
Concrètement, l’exposition d’une officine prend trois formes. La première est l’hameçonnage ciblé : avec le nom de la pharmacie, sa ville, ses adresses électroniques et ses numéros de téléphone, un attaquant rédige des messages crédibles se faisant passer pour l’éditeur, le grossiste répartiteur ou un organisme professionnel, et invite à réinitialiser un mot de passe ou à régler une facture. La seconde est la fraude aux coordonnées : un message annonçant un changement de relevé d’identité bancaire de l’éditeur ou d’un fournisseur, envoyé au moment précis où la fuite rend l’officine anxieuse, a des chances d’être exécuté sans vérification. La troisième est l’atteinte à la réputation locale : des patients qui apprennent que les données de leur pharmacie circulent peuvent perdre confiance, changer d’officine ou déposer plainte, et chacun de ces mouvements se chiffre. L’officine avisée prévient donc ses équipes par écrit : aucune modification de coordonnées bancaires sans contre-appel sur un numéro connu, aucune réinitialisation de mot de passe depuis un lien reçu par message, toute sollicitation inhabituelle remontée au titulaire avec sa trace complète.
Le troisième étage réunit les grossistes répartiteurs, les fournisseurs de l’officine et les autres partenaires dont les noms circulent dans les systèmes de gestion. Eux non plus n’ont pas été attaqués, mais leurs relations commerciales avec l’officine peuvent être connues de l’attaquant à travers les données de facturation et d’achats. Leur risque principal est d’être instrumentalisés : un faux bon de commande au nom de la pharmacie, une fausse demande de livraison vers une nouvelle adresse, un faux appel du titulaire pressé. Leur parade est symétrique : ils informent leurs services commerciaux de la fuite revendiquée, ils exigent pour toute instruction inhabituelle une confirmation par un canal indépendant déjà connu, et ils conservent les messages suspects au lieu de les effacer. Pour ces partenaires, la leçon du contentieux des chaînes de contrats est directe : le client qui cesse de payer son propre fournisseur au motif que l’éditeur a été piraté s’expose à être condamné envers ce fournisseur, sauf à démontrer une inexécution propre à ce dernier. Le recours doit remonter étage par étage, avec mise en demeure de chacun et chiffrage distinct par contrat, car chaque contrat de la chaîne se juge séparément.
II. Les décisions à prendre : notifier, conserver, puis attaquer au bon endroit
A. Notifier dans les délais et conserver les preuves de la chaîne
Le calendrier des notifications est le premier piège. La CNIL demande de documenter chaque violation en interne et de lui notifier celles qui présentent un risque pour les droits et libertés des personnes, avec information directe des personnes concernées lorsque le risque est élevé ; dès que l’incident crée un risque pour la vie privée, la notification à la CNIL s’impose (notifier une violation de données personnelles). Pour l’officine, responsable du traitement des données de ses patients et de ses équipes, le point de départ du délai est sa propre prise de connaissance, pas la date de la revendication du pirate : dès qu’elle a des indices sérieux que des données qu’elle a confiées sont compromises, le compteur tourne. La Commission nationale de l’informatique et des libertés précise la méthode : une notification initiale dans un délai de 72 heures si possible après le constat, puis une notification complémentaire dès que des informations nouvelles sont disponibles, avec explication des motifs du retard si le délai est dépassé (notifier une violation de données personnelles). L’officine notifie donc tôt, même incomplètement, puis complète : attendre d’avoir tout vérifié, c’est prendre le risque d’être hors délai sans motif valable.
Le deuxième réflexe concerne le dialogue avec l’éditeur. Le sous-traitant doit alerter son donneur d’ordres dans les meilleurs délais après avoir pris connaissance d’une violation, et leurs relations doivent être encadrées par un contrat écrit conforme au RGPD, que la CNIL accompagne de clauses types (travailler avec un sous-traitant). L’officine écrit donc à l’éditeur sans attendre : description des faits connus, demande de confirmation du périmètre compromis, des catégories de données concernées, des mesures de containment prises et du calendrier de communication. Ce courrier, envoyé en recommandé avec accusé de réception ou par tout moyen conférant date certaine, remplit trois fonctions : il met le prestataire face à ses obligations, il fait courir les délais contractuels de remédiation, et il constitue la première pièce du dossier. Si l’éditeur reste silencieux ou répond de façon évasive, chaque relance est elle aussi écrite et conservée, car le silence documenté du prestataire pèsera dans l’appréciation ultérieure de sa faute.
Le troisième réflexe vise les personnes concernées. En cas de risque élevé, les personnes concernées doivent également être notifiées, en termes clairs et simples ; en cas de doute sur le niveau de risque, la CNIL invite à lui notifier l’incident et c’est elle qui indique s’il faut informer les personnes (notifier une violation de données personnelles). Pour une officine, l’évaluation du risque tient compte de la nature des données : des coordonnées professionnelles seules n’appellent pas la même réponse que des données de santé ou des documents d’identité. Quand la communication s’impose, elle se fait en termes clairs et simples, sans jargon technique, avec la nature de l’incident, ses conséquences probables et les mesures de protection recommandées. L’officine distingue soigneusement ses patients, ses salariés et ses contacts professionnels, car les messages et les fondements ne sont pas identiques, et elle conserve la preuve de chaque envoi.
Reste la conservation des preuves, souvent négligée au profit de l’urgence. Le contrat avec l’éditeur, les factures, les bons de commande, les échanges antérieurs sur la sécurité, les journaux de connexion aux comptes, les messages suspects reçus après la fuite, les attestations des collaborateurs : tout est centralisé dans un dossier daté, avec un inventaire. Une leçon récente vient d’un litige entre un prestataire informatique et son client dans le secteur de la santé : le tribunal judiciaire de Lorient, le 13 mai 2026, a écarté le chiffrage interne du temps passé produit par le client, jugé constitué par la partie elle-même, faute de justifier d’embauches supplémentaires ou d’heures supplémentaires payées (TJ Lorient, 13 mai 2026, n° RG 24/01966). Autrement dit, le temps passé par les équipes habituelles, les dérangements et les inquiétudes ne se convertissent pas en euros indemnisables par un simple tableur interne. L’officine qui veut chiffrer son préjudice fait donc établir des constats externes, conserve les factures de sécurisation supplémentaires, les devis d’audit, les relevés d’heures supplémentaires effectivement payées et les contrats temporaires conclus pour gérer la crise. Chaque euro réclamé devra être adossé à une pièce qui ne vienne pas d’elle seule.
B. Attaquer le bon débiteur avec le bon fondement
Une fois les notifications faites et les preuves gelées, vient le temps du recours, et la première règle est contractuelle : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits » (article 1103 du code civil). L’officine agit d’abord contre son cocontractant direct, l’éditeur, sur le fondement de l’inexécution de ses obligations de sécurité et de confidentialité. Elle n’agit pas contre le pirate, insolvable et introuvable, et elle n’attaque pas ses propres fournisseurs au motif que la fuite la perturbe. La résolution du contrat pour inexécution obéit à un cadre strict : « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice » (article 1224 du code civil), et « Le créancier peut, à ses risques et périls, résoudre le contrat par voie de notification. Sauf urgence, il doit préalablement mettre en demeure le débiteur défaillant de satisfaire à son engagement dans un délai raisonnable. La mise en demeure mentionne expressément qu’à défaut pour le débiteur de satisfaire à son obligation, le créancier sera en droit de résoudre le contrat. Lorsque l’inexécution persiste, le créancier notifie au débiteur la résolution du contrat et les raisons qui la motivent. Le débiteur peut à tout moment saisir le juge pour contester la résolution. Le créancier doit alors prouver la gravité de l’inexécution » (article 1226 du code civil). Résilier sans mise en demeure préalable, sans délai raisonnable et sans inexécution suffisamment grave, c’est prendre le risque de devenir soi-même le débiteur fautif.
Deux décisions récentes illustrent ce danger symétrique. Le 11 juin 2026, la cour d’appel d’Aix-en-Provence a jugé que le prestataire informatique n’avait commis aucun manquement contractuel, que la résiliation prise à l’initiative du client le 29 février 2024 était donc injustifiée et fautive, et elle a confirmé la condamnation du client au paiement des mensualités et de l’indemnité de résiliation anticipée prévue par les conditions générales (CA Aix-en-Provence, chambre 3-3, 11 juin 2026, n° RG 25/12413). Le client qui rompt à tort paie donc deux fois : les échéances et l’indemnité. À l’inverse, le 13 mai 2026, le tribunal judiciaire de Lorient a jugé que le client avait résilié à bon droit, aux torts exclusifs du prestataire, par courrier recommandé du 10 avril 2024, après avoir constaté le retard durable, le flou sur la migration des données de santé et l’absence de preuve des diligences du prestataire ; le tribunal a en conséquence refusé toute indemnité de résiliation au prestataire, relevant au surplus que le contrat de location n’avait jamais pris effet faute d’achèvement des opérations et de procès-verbal de réception signé (TJ Lorient, 13 mai 2026, n° RG 24/01966). Pour l’officine, la morale est double : une résiliation injustifiée se paie cash, mais une résiliation documentée, précédée de mises en demeure restées sans effet utile, transfère la charge sur le prestataire défaillant.
La question des plafonds de responsabilité mérite la même attention. Beaucoup de contrats informatiques plafonnent l’indemnisation à quelques mois d’abonnement, et les clients découvrent ce plafond au moment du sinistre. Or la Cour de cassation juge que la résolution du contrat pour inexécution ne fait pas disparaître les clauses limitatives de réparation des conséquences de cette inexécution, qui restent applicables (Cass. com., 7 février 2018, n° 16-20.352). Autrement dit, résoudre le contrat ne fait pas sauter le plafond : l’officine doit chiffrer son préjudice réel, « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure » (article 1231-1 du code civil), puis composer avec le plafond stipulé, sauf à en contester la validité ou l’opposabilité selon les termes exacts du contrat. En parallèle, les tiers lésés par la faute, patients victimes d’usurpation ou partenaires trompés par un faux message, disposent du droit commun : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil), et le règlement européen ouvre à toute personne lésée une action en réparation contre le responsable du traitement ou le sous-traitant, ce dernier n’étant tenu que s’il a méconnu les obligations qui lui incombent en propre ou s’il a outrepassé les instructions licites du responsable (travailler avec un sous-traitant). Pour un suivi global des litiges contractuels entre professionnels et de la chaîne des responsabilités, l’entreprise vérifie avec son conseil l’étage à attaquer : un accompagnement en droit des affaires pour les litiges entre professionnels aide à situer le contentieux contractuel et la chaîne de responsabilités quand le prestataire défaille.
Si l’éditeur en difficulté n’agit pas contre son propre sous-traitant d’hébergement alors que cette carence compromet le recours de l’officine, le droit commun offre un levier : « Lorsque la carence du débiteur dans l’exercice de ses droits et actions à caractère patrimonial compromet les droits de son créancier, celui-ci peut les exercer pour le compte de son débiteur, à l’exception de ceux qui sont exclusivement rattachés à sa personne » (article 1341-1 du code civil). L’officine vérifie avec son conseil si les conditions de cette action oblique sont réunies avant de l’envisager.
En pratique, la séquence recommandée tient en quatre temps écrits. Premièrement, la mise en demeure du cocontractant direct : description des faits, référence aux clauses de sécurité et de confidentialité, demande de communication du périmètre compromis et des mesures prises, délai de réponse raisonnable avec avertissement exprès sur la résolution encourue. Deuxièmement, la suspension proportionnée : retenue des paiements strictement liée à la partie inexécutée, notifiée par écrit, sans résiliation sauvage. Troisièmement, le chiffrage externe : frais de notification, factures d’audit et de sécurisation, heures supplémentaires payées, commandes perdues ou retardées, surcoûts prouvés par des pièces émanant de tiers. Quatrièmement, l’assignation ou la négociation au vu des pièces, en visant chaque débiteur pour sa propre inexécution. Chaque écrit compte, même bref, dès lors qu’il est daté, conservé et adressé à la bonne personne, et chaque délai manqué complique durablement la position de l’entreprise.
La revendication visant Pharmaland, publiée le 25 septembre 2026, n’est donc ni une simple anecdote de cybersécurité ni une condamnation de l’éditeur : c’est le révélateur d’une chaîne où chaque officine dépend des systèmes de son prestataire. Les pharmacies y apprennent que leurs coordonnées professionnelles peuvent circuler sans qu’elles aient été attaquées ; les grossistes et fournisseurs y apprennent que leurs relations commerciales peuvent nourrir des fraudes ciblées ; tous y vérifient la même leçon, prouver tôt, notifier dans les délais et attaquer étage par étage. La carte des conséquences ne sert qu’à une chose : transformer un signal anxiogène en décisions écrites, datées et chiffrées, opposables à chaque maillon.